Avenant relatif au traitement des données (DPA)

Cette page est une traduction réalisée avec l’aide de l’IA, fournie pour information, et peut contenir des erreurs. Seuls la version anglaise et son PDF font foi, y compris devant les tribunaux.

Le présent avenant relatif au traitement des données (le « DPA ») fait partie intégrante des Conditions d’utilisation de Zipchat publiées à l’adresse https://www.zipchat.ai/legal/terms-conditions (le « Contrat ») conclu entre Zipchat Inc. (« Zipchat ») et le client qui a accepté le Contrat (le « Client », et, avec Zipchat, les « Parties »).

Le présent DPA est publié à l’adresse https://www.zipchat.ai/legal/dpa et s’applique automatiquement au traitement des Données personnelles effectué par Zipchat pour le compte du Client à compter de la date à laquelle le Client accepte le Contrat. Aucune signature n’est requise. Le Client qui a besoin d’un exemplaire contresigné peut en faire la demande à support@zipchat.ai. Zipchat conclut le présent DPA en son nom propre et, dans la mesure requise par les Lois sur la protection des données, au nom de ses sociétés affiliées. Les termes commençant par une majuscule qui sont utilisés mais non définis dans le présent DPA ont le sens qui leur est donné dans le Contrat.

1. Définitions

1.1 « Statistiques d’utilisation agrégées » (Aggregated Usage Metrics) a le sens qui lui est donné à l’article 6.5 du Contrat.

1.2 « Sous-traitant ultérieur autorisé » (Authorized Subprocessor) désigne un tiers auquel Zipchat fait appel pour traiter des Données personnelles afin de fournir les Services, en vertu de l’autorisation générale prévue à l’article 6.

1.3 « Données de compte Zipchat » (Zipchat Account Data) désigne les données à caractère personnel liées à la relation entre Zipchat et le Client, notamment les noms et coordonnées des personnes autorisées par le Client à accéder à son compte, ainsi que les informations de facturation des personnes que le Client a associées à son compte.

1.4 « Données d’utilisation Zipchat » (Zipchat Usage Data) désigne les données d’utilisation des Services collectées et traitées par Zipchat dans le cadre de la fourniture des Services, notamment les données permettant d’identifier l’origine et la destination d’une communication, les journaux d’activité et les données similaires.

1.5 « Data Privacy Framework » ou « DPF » désigne, selon le cas, l’EU-U.S. Data Privacy Framework, l’UK Extension to the EU-U.S. Data Privacy Framework et le Swiss-U.S. Data Privacy Framework.

1.6 « Personne concernée » (Data Subject) désigne une personne physique dont les Données personnelles sont protégées par les Lois sur la protection des données. Le terme « Personne concernée » englobe la notion de « Consumer » (consommateur) au sens des Lois sur la protection des données.

1.7 « Demande de Personne concernée » (Data Subject Request) désigne une demande par laquelle une Personne concernée exerce les droits dont elle dispose sur ses Données personnelles en vertu des Lois sur la protection des données.

1.8 « Utilisateur final » (End User) désigne une personne qui interagit avec les Services sur les canaux du Client, par exemple un acheteur ou un visiteur du site web.

1.9 « CCT de l’UE » (EU SCCs) désigne les clauses contractuelles types approuvées par la Commission européenne dans la décision d’exécution (UE) 2021/914 du 4 juin 2021, telles que modifiées ou remplacées le cas échéant, et telles que complétées par l’article 9 du présent DPA.

1.10 « Transfert hors EEE » (ex-EEA Transfer) désigne un transfert de Données personnelles soumises au RGPD de l’UE depuis l’Espace économique européen (l’« EEE ») vers un pays ou un destinataire qui n’est pas couvert par une décision d’adéquation de la Commission européenne.

1.11 « Transfert hors Royaume-Uni » (ex-UK Transfer) désigne un transfert de Données personnelles soumises au RGPD britannique depuis le Royaume-Uni (« UK ») vers un pays ou un destinataire qui n’est pas couvert par une réglementation d’adéquation adoptée en vertu du RGPD britannique et du Data Protection Act 2018.

1.12 « Données personnelles » (Personal Data) désigne toute information fournie à Zipchat par le Client ou pour son compte, ou collectée par Zipchat pour le compte du Client dans le cadre des Services, qui se rapporte à une Personne concernée identifiée ou identifiable et qui constitue une « donnée à caractère personnel », une « information personnelle » (personal information) ou une notion équivalente au sens des Lois sur la protection des données. Les Données personnelles n’incluent ni les Données de compte Zipchat, ni les Données d’utilisation Zipchat, ni les Statistiques d’utilisation agrégées.

1.13 « Lois sur la protection des données » (Privacy Laws) désigne l’ensemble des lois et réglementations applicables au traitement des Données personnelles dans le cadre du Contrat, y compris, dans la mesure où ils sont applicables : (i) le règlement (UE) 2016/679 (le « RGPD de l’UE ») et le RGPD de l’UE tel qu’il est intégré au droit de l’Angleterre et du pays de Galles, de l’Écosse et de l’Irlande du Nord en vertu de l’article 3 de l’European Union (Withdrawal) Act 2018 (le « RGPD britannique » et, avec le RGPD de l’UE, le « RGPD ») ; (ii) la loi fédérale suisse sur la protection des données du 25 septembre 2020 (la « FADP ») ; (iii) le Data Protection Act 2018 du Royaume-Uni ; (iv) les Privacy and Electronic Communications (EC Directive) Regulations 2003 ; et (v) les lois générales sur la protection de la vie privée des États américains, comme le California Consumer Privacy Act, tel que modifié par le California Privacy Rights Act de 2020 (le « CCPA ») ; dans chaque cas, tels que modifiés ou remplacés le cas échéant. Les termes « finalité commerciale » (business purpose), « Responsable du traitement » (Controller), « Violation de Données personnelles » (Personal Data Breach), « Sous-traitant » (Processor), « traiter » ou « traitement » (process, processing), « vendre » (sell), « partager » (share) et « autorité de contrôle » (supervisory authority) ont le sens qui leur est donné, ou qui est donné aux termes équivalents, dans les Lois sur la protection des données. Le terme « Responsable du traitement » englobe la notion de « Business » et le terme « Sous-traitant » celle de « Service Provider », au sens du CCPA.

1.14 « Clauses contractuelles types » (Standard Contractual Clauses) désigne, selon le cas, les CCT de l’UE et les CCT britanniques.

1.15 « Liste des sous-traitants ultérieurs » (Subprocessor List) désigne la liste des Sous-traitants ultérieurs autorisés de Zipchat publiée à l’adresse https://www.zipchat.ai/legal/subprocessors, telle que mise à jour conformément à l’article 6.

1.16 « Addendum britannique » (UK Addendum) désigne l’International Data Transfer Addendum to the EU SCCs émis par l’Information Commissioner du Royaume-Uni en vertu de l’article 119A du Data Protection Act 2018, tel que modifié le cas échéant, et tel que complété par l’Appendice D.

1.17 « CCT britanniques » (UK SCCs) désigne les CCT de l’UE telles que modifiées par l’Addendum britannique.

2. Rôle des Parties ; description du traitement

2.1 En ce qui concerne les Données personnelles, le Client est le Responsable du traitement et Zipchat est un Sous-traitant ou, lorsque le Client est lui-même Sous-traitant pour le compte d’un Responsable du traitement tiers, Zipchat est un sous-traitant ultérieur. Le traitement des Données de compte Zipchat et des Données d’utilisation Zipchat effectué par Zipchat en qualité de Responsable du traitement est régi par l’article 13.

2.2 Zipchat ne traite les Données personnelles que : (i) aux fins prévues par le Contrat ; (ii) sur les instructions documentées du Client, qui comprennent le Contrat, le présent DPA ainsi que la configuration et l’utilisation des Services par le Client ; et (iii) dans la mesure où les Lois sur la protection des données ou une autorité de contrôle l’exigent, auquel cas Zipchat informe le Client de cette obligation légale avant le traitement, sauf si la loi l’interdit. L’objet, la nature, la finalité et la durée du traitement, les types de Données personnelles et les catégories de Personnes concernées sont décrits à l’Appendice A.

2.3 Les Données personnelles sont stockées aux États-Unis, sauf accord écrit contraire.

3. Obligations du Client

3.1 Dans le cadre de son utilisation des Services, le Client traite les Données personnelles et donne ses instructions relatives à leur traitement conformément aux Lois sur la protection des données, et veille à ce que le traitement effectué selon ses instructions n’amène pas Zipchat à enfreindre les Lois sur la protection des données. Le Client est seul responsable de l’exactitude, de la qualité et de la licéité des Données personnelles fournies à Zipchat par lui ou pour son compte, des moyens par lesquels il les a obtenues, des instructions qu’il donne à Zipchat, ainsi que des informations qu’il doit fournir à ses Utilisateurs finaux et des consentements qu’il doit obtenir de leur part.

3.2 Le Client ne fournit ni ne met à la disposition de Zipchat aucune Donnée personnelle en violation du Contrat, notamment les données visées à l’article 5.2 du Contrat, ou autrement inadaptée à la nature des Services, et indemnise Zipchat de toute réclamation et de toute perte découlant de telles données.

3.3 Zipchat informe sans délai le Client si, selon elle, une instruction enfreint les Lois sur la protection des données ou une instruction d’une autorité de contrôle.

4. Utilisation des Données personnelles

4.1 Zipchat s’interdit : (i) de vendre ou de partager des Données personnelles ; (ii) de conserver, d’utiliser ou de communiquer des Données personnelles en dehors de la relation commerciale directe avec le Client, ou à toute autre fin qu’une finalité commerciale au sens du CCPA pour le compte du Client ou que ce qui est nécessaire à l’exécution des Services pour le Client en vertu du Contrat, sauf disposition contraire du Contrat ou des Lois sur la protection des données ; ou (iii) de combiner les Données personnelles reçues du Client ou pour son compte avec des données à caractère personnel reçues d’une autre personne ou pour le compte de celle-ci, sauf dans la mesure nécessaire à la fourniture des Services ou sur instruction du Client.

4.2 Aucun entraînement sans l’autorisation du Client. Zipchat n’utilise pas les Données personnelles, y compris les conversations des Utilisateurs finaux, ni les résultats générés par l’IA à partir de celles-ci, pour entraîner ou affiner un quelconque modèle d’IA, qu’il s’agisse des propres modèles de Zipchat ou de modèles tiers. Si Zipchat souhaite le faire à l’avenir, elle demandera d’abord l’autorisation du Client, par email ou dans le produit, en précisant quelles données seraient utilisées et à quelle fin. Le Client peut accepter ou refuser. Sans acceptation expresse du Client, rien ne change : le silence ou la poursuite de l’utilisation des Services ne valent pas acceptation. Le Client peut retirer son acceptation à tout moment, avec effet pour l’avenir. Aucune modification du Contrat ou du présent DPA ne peut supprimer ou restreindre cet engagement. Les sous-traitants ultérieurs de Zipchat spécialisés en IA ne traitent les Données personnelles que pour fournir leur service à Zipchat, dans le cadre de contrats qui leur interdisent d’entraîner leurs modèles avec ces données. Certains peuvent conserver des données limitées pendant une certaine durée, à des fins d’observabilité ou de détection des abus. Le traitement de Données personnelles destiné à fournir les Services au Client, comme l’indexation des propres contenus du Client ou la mémorisation des Utilisateurs finaux qui reviennent pour le compte du Client, ne constitue pas un entraînement.

4.3 Statistiques d’utilisation agrégées. Zipchat peut produire des Statistiques d’utilisation agrégées comme décrit à l’article 6.5 du Contrat. Elles sont calculées sur l’ensemble des clients ou sur un grand nombre de conversations, ne permettent d’identifier ni le Client, ni une Personne concernée, ni aucune autre personne, ne constituent pas des Données personnelles et ne sont jamais utilisées pour entraîner ou affiner des modèles d’IA.

4.4 Séparation. Zipchat sépare logiquement les Données personnelles de chaque client, de sorte qu’elles ne soient pas exposées dans les conversations d’un autre client.

5. Audit

5.1 Zipchat tient des registres suffisants pour démontrer qu’elle respecte le présent DPA. Sur demande écrite du Client, à intervalles raisonnables et sous réserve de mesures de confidentialité raisonnables, Zipchat : (i) met à disposition les informations et la documentation raisonnablement nécessaires pour démontrer qu’elle respecte le présent DPA, comme une description de ses mesures techniques et organisationnelles et une synthèse des résultats de son dernier test d’intrusion ; ou (ii) si les informations visées au point (i) ne suffisent pas au regard des Lois sur la protection des données, autorise un auditeur tiers indépendant désigné par le Client à auditer l’infrastructure et les procédures de sécurité des données de Zipchat, dans la mesure nécessaire pour démontrer le respect des Lois sur la protection des données, à condition que : (a) le Client adresse un préavis écrit raisonnable et que l’audit ne perturbe pas de manière déraisonnable l’activité de Zipchat ; (b) l’audit ait lieu pendant les heures ouvrables et au maximum une fois par année civile, sauf exigence contraire d’une autorité de contrôle ou à la suite d’une Violation de Données personnelles touchant les Données personnelles du Client ; et (c) l’audit soit limité aux données concernant le Client. Le Client prend en charge les coûts de tout audit, y compris le remboursement du temps consacré par Zipchat aux audits sur site. Lorsque les Clauses contractuelles types s’appliquent en vertu de l’article 9, les audits prévus à la clause 8.9 des CCT de l’UE sont réalisés conformément au présent article 5.1.

5.2 Dans la mesure permise par les Lois sur la protection des données, si le Client constate que Zipchat traite des Données personnelles de manière non autorisée, il peut, après notification écrite et compte tenu de la nature du traitement, prendre des mesures appropriées et raisonnables sur le plan commercial pour faire cesser le traitement non autorisé et y remédier.

6. Sous-traitants ultérieurs autorisés

6.1 Autorisation générale. Le Client accorde à Zipchat une autorisation écrite générale de recourir à ses sociétés affiliées et aux Sous-traitants ultérieurs autorisés figurant sur la Liste des sous-traitants ultérieurs, ainsi qu’à d’autres sous-traitants ultérieurs conformément au présent article 6, pour traiter les Données personnelles dans la mesure nécessaire à la fourniture des Services.

6.2 Liste des sous-traitants ultérieurs. La Liste des sous-traitants ultérieurs en vigueur est publiée à l’adresse https://www.zipchat.ai/legal/subprocessors. Elle indique, pour chaque Sous-traitant ultérieur autorisé, ce qu’il traite, où, et s’il intervient systématiquement ou seulement lorsque le Client active une fonctionnalité ou connecte un canal. Zipchat peut ajouter, remplacer ou retirer des Sous-traitants ultérieurs autorisés en mettant à jour la Liste des sous-traitants ultérieurs, sans modifier le Contrat ni le présent DPA. L’Appendice B reproduit la liste à la date de la présente version, à titre informatif ; la Liste des sous-traitants ultérieurs publiée prévaut.

6.3 Notification. Au moins dix (10) jours avant qu’un nouveau sous-traitant ultérieur ne commence à traiter des Données personnelles, Zipchat l’ajoute à la Liste des sous-traitants ultérieurs et en informe le Client par email, à l’adresse associée au compte du Client. Lorsqu’un remplacement urgent est nécessaire pour des raisons de sécurité ou de continuité du service, Zipchat en informe le Client dès que cela est raisonnablement possible. Le Client peut également demander à être informé de chaque mise à jour de la Liste des sous-traitants ultérieurs en écrivant à support@zipchat.ai.

6.4 Opposition. Le Client peut s’opposer à un nouveau sous-traitant ultérieur en écrivant à support@zipchat.ai dans un délai de dix (10) jours à compter de la notification, pour des motifs raisonnables liés à la protection des données. À défaut d’opposition du Client dans ce délai, le sous-traitant ultérieur devient un Sous-traitant ultérieur autorisé. Les Parties examinent l’opposition de bonne foi. Si Zipchat ne peut pas proposer d’alternative raisonnable sur le plan commercial dans un délai raisonnable, le seul recours du Client est de cesser d’utiliser la partie concernée des Services ou de résilier le Contrat conformément à ses stipulations. Le Client reconnaît que certains sous-traitants ultérieurs sont indispensables aux Services. Une résiliation en vertu du présent article ne dispense pas le Client du paiement des sommes dues au titre du Contrat, et les remboursements sont régis par l’article 4.6 du Contrat.

6.5 Fonctionnalités et canaux. Certains Sous-traitants ultérieurs autorisés ne traitent des Données personnelles que lorsque le Client active une fonctionnalité ou connecte un canal, comme l’indique la Liste des sous-traitants ultérieurs. En activant cette fonctionnalité ou en connectant ce canal, le Client donne instruction à Zipchat de recourir au Sous-traitant ultérieur autorisé correspondant.

6.6 Obligations. Zipchat conclut avec chaque Sous-traitant ultérieur autorisé un accord écrit lui imposant des obligations de protection des données au moins aussi protectrices que celles imposées à Zipchat par le présent DPA. Zipchat demeure responsable envers le Client de l’exécution des obligations de chaque Sous-traitant ultérieur autorisé, sous réserve du Contrat.

6.7 Lorsque les Clauses contractuelles types s’appliquent en vertu de l’article 9 : (i) les autorisations prévues au présent article 6 constituent l’autorisation écrite préalable du Client à la sous-traitance au sens de la clause 9 des CCT de l’UE ; et (ii) les copies des contrats de sous-traitance ultérieure que Zipchat doit fournir en vertu de la clause 9, point c), des CCT de l’UE ne sont fournies qu’à la demande du Client, et Zipchat peut au préalable en retirer les informations commerciales et les informations sans rapport avec les Clauses contractuelles types.

7. Confidentialité ; sécurité des Données personnelles

7.1 Zipchat veille à ce que chaque personne qu’elle autorise à traiter des Données personnelles soit soumise à une obligation de confidentialité appropriée. Zipchat peut communiquer des Données personnelles à ses conseils, à ses auditeurs ou à d’autres tiers dans la mesure raisonnablement nécessaire pour respecter ses obligations au titre des Lois sur la protection des données, du présent DPA ou du Contrat, ou pour fournir les Services au Client, sous réserve d’obligations de confidentialité équivalentes.

7.2 Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, Zipchat maintient des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, comme décrit à l’Appendice C. Zipchat peut mettre à jour ces mesures, à condition que ces mises à jour ne réduisent pas de manière significative le niveau global de protection. Aucune méthode de transmission ou de stockage n’est totalement sûre, et Zipchat ne garantit pas une sécurité absolue.

8. Violation de Données personnelles

8.1 Zipchat informe le Client dans les meilleurs délais après avoir pris connaissance d’une Violation de Données personnelles touchant les Données personnelles du Client, et prend les mesures qu’elle juge raisonnablement nécessaires pour la circonscrire et y remédier, dans la mesure où la remédiation relève raisonnablement de son contrôle. La notification décrit, dans la mesure où ces éléments sont alors connus, la nature de la violation, les catégories et le nombre approximatif de Personnes concernées et d’enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées.

8.2 Compte tenu de la nature du traitement et des informations dont elle dispose, Zipchat apporte au Client une coopération et une assistance raisonnables afin qu’il puisse respecter les obligations de notification à l’autorité de contrôle compétente et aux Personnes concernées touchées qui lui incombent en vertu des Lois sur la protection des données.

8.3 Les articles 8.1 et 8.2 ne s’appliquent pas à une Violation de Données personnelles causée par les actes ou omissions du Client ou de ses utilisateurs. La notification d’une Violation de Données personnelles par Zipchat, ou les mesures qu’elle prend en réponse, ne constituent pas une reconnaissance de faute ou de responsabilité.

9. Transferts de Données personnelles

9.1 Le Client reconnaît que les principales opérations de traitement de Zipchat, ainsi que le traitement des Données personnelles par ses Sous-traitants ultérieurs autorisés, ont lieu aux États-Unis, et que le transfert de Données personnelles vers les États-Unis est nécessaire à la fourniture des Services. Zipchat peut transférer des Données personnelles hors de l’EEE, du Royaume-Uni ou de la Suisse dans la mesure nécessaire à la fourniture des Services, avec les garanties exigées par les Lois sur la protection des données.

9.2 Data Privacy Framework. Zipchat Inc. est certifiée au titre de l’EU-U.S. Data Privacy Framework, de l’UK Extension to the EU-U.S. Data Privacy Framework et du Swiss-U.S. Data Privacy Framework. Sa certification figure sur la liste publiée à l’adresse https://www.dataprivacyframework.gov/list. Les transferts de Données personnelles depuis l’EEE vers Zipchat sont donc couverts par la décision d’adéquation de la Commission européenne relative à l’EU-U.S. Data Privacy Framework du 10 juillet 2023, et les transferts depuis le Royaume-Uni et la Suisse par les constats d’adéquation britannique et suisse correspondants pour le DPF. Pour ces transferts, les Clauses contractuelles types et une analyse d’impact des transferts ne sont pas nécessaires. Zipchat informe le Client si elle n’est plus en mesure de respecter ses obligations au titre des principes du DPF.

9.3 Mécanisme subsidiaire. Les Clauses contractuelles types sont intégrées par référence au présent DPA et s’appliquent à un Transfert hors EEE, à un Transfert hors Royaume-Uni ou à un transfert depuis la Suisse uniquement : (a) si le Data Privacy Framework cesse d’être un mécanisme de transfert valable pour ce transfert, ou si la certification de Zipchat expire ; ou (b) si le Client demande par écrit leur application à titre de garantie supplémentaire. Lorsqu’elles s’appliquent, elles sont complétées comme suit :

(a) Le module deux (transfert de responsable du traitement à sous-traitant) s’applique lorsque le Client est Responsable du traitement et Zipchat Sous-traitant ; le module trois (transfert de sous-traitant à sous-traitant) s’applique lorsque le Client est Sous-traitant et Zipchat sous-traitant ultérieur ; et le module un (transfert de responsable du traitement à responsable du traitement) s’applique aux Données de compte Zipchat et aux Données d’utilisation Zipchat que Zipchat traite en qualité de Responsable du traitement en vertu de l’article 13.

(b) La clause d’adhésion facultative prévue à la clause 7 ne s’applique pas.

(c) À la clause 9, l’option 2 (autorisation écrite générale) s’applique, et le délai de notification préalable des changements de sous-traitants ultérieurs est celui fixé à l’article 6.3.

(d) À la clause 11, la formulation facultative ne s’applique pas.

(e) À la clause 13, l’autorité de contrôle compétente est déterminée conformément à l’Appendice B.

(f) À la clause 17 (option 1), les CCT de l’UE sont régies par le droit irlandais et, en vertu de la clause 18, point b), les litiges sont tranchés par les juridictions irlandaises.

(g) L’annexe I est complétée par les Appendices A et B, l’annexe II par l’Appendice C, et l’annexe III par la Liste des sous-traitants ultérieurs.

(h) En acceptant le Contrat, les Parties sont réputées avoir signé les CCT de l’UE, y compris leurs annexes, à la date à laquelle le Client a accepté le Contrat.

9.4 Transferts hors Royaume-Uni. Lorsque l’article 9.3 s’applique à un Transfert hors Royaume-Uni, les CCT britanniques s’appliquent, complétées conformément à l’Appendice D. L’Addendum britannique est régi par le droit de l’Angleterre et du pays de Galles, et les litiges qui en découlent sont tranchés par les juridictions de l’Angleterre et du pays de Galles.

9.5 Transferts depuis la Suisse. Lorsque l’article 9.3 s’applique à un transfert soumis à la FADP, les CCT de l’UE s’appliquent avec les modifications suivantes : (a) les références au RGPD incluent la FADP pour ces transferts ; (b) le Préposé fédéral à la protection des données et à la transparence est l’autorité de contrôle compétente pour les transferts régis par la FADP ; et (c) le terme « État membre » n’empêche pas les Personnes concernées en Suisse d’intenter une action au lieu de leur résidence habituelle conformément à la clause 18, point c).

9.6 Demandes d’accès des autorités publiques. Pour tout transfert effectué en vertu des Clauses contractuelles types : (a) à la date de la présente version, Zipchat n’a reçu aucune demande juridiquement contraignante d’un service de renseignement ou de sécurité d’un gouvernement visant à accéder aux Données personnelles du Client ; (b) si Zipchat reçoit d’une autorité publique une demande portant sur des Données personnelles, elle s’efforce de rediriger cette autorité vers le Client (elle peut, à cette fin, communiquer les coordonnées de base du Client) et, lorsqu’elle est contrainte de communiquer des Données personnelles, elle en informe le Client dans la mesure où la loi le permet et coopère raisonnablement afin que le Client puisse demander une ordonnance de protection ou exercer un autre recours ; (c) Zipchat ne communique pas volontairement de Données personnelles à une autorité répressive ou gouvernementale ; et (d) si un mécanisme de transfert cesse d’être valable ou si une autorité de contrôle exige la suspension des transferts, les Parties conviennent d’un mécanisme alternatif conforme aux Lois sur la protection des données.

10. Analyses relatives à la protection des données

10.1 Compte tenu de la nature du traitement et des informations dont elle dispose, Zipchat coopère raisonnablement avec le Client dans le cadre de toute analyse d’impact relative à la protection des données ou de toute consultation préalable exigée par les Lois sur la protection des données, notamment en lui fournissant les informations qu’il ne peut obtenir autrement. Chaque Partie reste responsable des mesures qui lui incombent en vertu des Lois sur la protection des données.

11. Demandes des Personnes concernées

11.1 Dans la mesure permise par les Lois sur la protection des données, Zipchat informe le Client si elle reçoit une Demande de Personne concernée relative à des Données personnelles, et invite la Personne concernée à adresser sa demande au Client. Il incombe au Client de répondre aux Demandes de Personnes concernées, notamment en utilisant les fonctionnalités des Services, comme la suppression ou l’export des données de conversation.

11.2 À la demande du Client, et compte tenu de la nature du traitement, Zipchat aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre à une Demande de Personne concernée, lorsque le Client ne peut pas y répondre sans l’aide de Zipchat et que Zipchat peut légalement le faire. Dans la mesure où la loi le permet, les coûts raisonnables de cette assistance sont à la charge du Client.

12. Conservation, restitution et suppression des Données personnelles

12.1 Pendant l’abonnement. Zipchat conserve les Données personnelles, y compris les données de conversation, tant que l’abonnement du Client est actif, afin que le Client puisse y accéder et que l’agent IA puisse garder en mémoire les Utilisateurs finaux qui reviennent. Les conversations ne sont pas supprimées automatiquement tant que l’abonnement est actif. Le Client peut supprimer l’historique des conversations à tout moment, et peut demander à support@zipchat.ai d’activer la suppression automatique au terme d’une durée qu’il choisit, ce que Zipchat met en place dans un délai raisonnable.

12.2 Export. Le Client peut exporter les données de conversation via l’API Zipchat sans frais supplémentaires tant que son compte est actif, puis pendant 90 jours après la résiliation, jusqu’à la suppression des données, via l’API ou en écrivant à support@zipchat.ai.

12.3 Après la résiliation. Zipchat supprime les Données personnelles dans un délai de 90 jours à compter de la résiliation ou de l’expiration du Contrat, sous réserve des cycles de sauvegarde, sauf lorsque leur conservation prolongée est exigée par la loi ou nécessaire aux registres de facturation, fiscaux ou juridiques. Les Données personnelles que Zipchat conserve au titre de cette exception restent protégées par le présent DPA et ne font l’objet d’aucun autre traitement, sauf dans la mesure exigée par la loi.

12.4 Lorsque les Clauses contractuelles types s’appliquent, l’attestation de suppression prévue à la clause 8.1, point d), et à la clause 8.5 des CCT de l’UE est fournie à la demande du Client.

13. Zipchat en qualité de Responsable du traitement

13.1 Pour les Données de compte Zipchat et les Données d’utilisation Zipchat, Zipchat est un Responsable du traitement indépendant, et non un responsable conjoint du traitement avec le Client. Zipchat traite ces données : (i) pour gérer sa relation avec le Client ; (ii) pour mener ses activités essentielles, comme la comptabilité, les audits, la fiscalité et la conformité ; (iii) pour surveiller, examiner, prévenir et détecter la fraude, les incidents de sécurité et les utilisations abusives des Services ; (iv) pour vérifier l’identité ; (v) pour respecter ses obligations légales ; (vi) pour fournir, sécuriser, maintenir et améliorer les Services, notamment en produisant des Statistiques d’utilisation agrégées ; et (vii) dans tout autre cas permis par les Lois sur la protection des données, le Contrat et le présent DPA. Zipchat n’utilise pas le contenu des conversations figurant dans ces données pour entraîner ou affiner des modèles d’IA. Ce traitement est décrit dans la Politique de confidentialité de Zipchat, disponible à l’adresse https://www.zipchat.ai/legal/privacy-policy.

14. Modifications du présent DPA

14.1 Zipchat peut mettre à jour le présent DPA, par exemple pour tenir compte de l’évolution des Lois sur la protection des données, des mécanismes de transfert ou des Services, en publiant la version mise à jour sur son site web. Les modifications qui réduisent de manière significative les protections du Client prennent effet 30 jours après que Zipchat en a informé le Client par email, sauf si les Lois sur la protection des données exigent une prise d’effet plus rapide. Les modifications de la Liste des sous-traitants ultérieurs relèvent de l’article 6, et non du présent article. Aucune mise à jour ne peut supprimer ou restreindre l’engagement prévu à l’article 4.2.

15. Dispositions diverses

15.1 En cas de contradiction, l’ordre de priorité suivant s’applique : (1) les Clauses contractuelles types, lorsqu’elles s’appliquent en vertu de l’article 9 ; (2) le présent DPA ; (3) la Politique de confidentialité de Zipchat, en ce qui concerne le traitement des données à caractère personnel, conformément à l’article 6.4, point d), du Contrat ; et (4) le Contrat.

15.2 Toute réclamation formée en lien avec le présent DPA est soumise au Contrat, y compris au droit applicable et aux exclusions et limitations de responsabilité qu’il prévoit, sauf disposition contraire des Clauses contractuelles types.

15.3 Les notifications adressées à Zipchat au titre du présent DPA doivent être envoyées à support@zipchat.ai. Les notifications adressées au Client sont envoyées à l’adresse email associée à son compte.

15.4 Le présent DPA est rédigé en anglais. Toute traduction, y compris les traductions réalisées avec l’aide de l’IA publiées sur le site web de Zipchat, est fournie à titre informatif uniquement et peut contenir des erreurs. Seule la version anglaise fait foi et prévaut en cas de divergence, y compris dans le cadre d’un litige, d’un arbitrage ou d’une procédure judiciaire.

Appendice A : Description du traitement

Objet. La fourniture des Services en vertu du Contrat : un agent IA pour l’e-commerce qui répond aux Utilisateurs finaux du Client et les accompagne sur les canaux que le Client connecte, comme le chat en ligne, la recherche, les fiches produits, l’email, WhatsApp, Instagram, Messenger et, lorsqu’elle est activée, la voix.

Nature du traitement. Collecte, enregistrement et extraction ; conservation et structuration ; analyse et consultation, y compris la génération de réponses par l’IA ; indexation des contenus du Client ; mise à jour et rectification ; protection, y compris le chiffrement et la limitation ; communication aux Sous-traitants ultérieurs autorisés et aux outils que le Client connecte ; restitution au Client ou aux Personnes concernées ; et effacement.

Finalité. Fournir, maintenir, sécuriser et assurer le support des Services pour le Client, conformément au Contrat et aux instructions du Client. Les Données personnelles ne sont pas utilisées pour entraîner ou affiner des modèles d’IA sans l’autorisation du Client (article 4.2).

Durée. Pendant la durée du Contrat et selon les modalités prévues à l’article 12 : les Données personnelles sont conservées tant que l’abonnement est actif, sauf si le Client les supprime ou active la suppression automatique, et sont supprimées dans un délai de 90 jours à compter de la résiliation, sous réserve des cycles de sauvegarde et des exceptions prévues à l’article 12.3.

Catégories de Personnes concernées. Les Utilisateurs finaux du Client (acheteurs et visiteurs du site web qui interagissent avec les Services), ainsi que le personnel du Client et les utilisateurs autorisés des Services.

Catégories de Données personnelles.

• Coordonnées, comme le nom, l’adresse email et le numéro de téléphone.

• Identifiants de messagerie, comme les numéros de téléphone WhatsApp et les identifiants de profil Instagram et Messenger, lorsque le Client connecte ces canaux.

• Contenu des conversations : messages de chat, emails, demandes d’information et demandes d’assistance, ainsi que les médias envoyés par les Utilisateurs finaux, comme des images et des messages vocaux.

• Informations sur les commandes et les achats récupérées depuis les plateformes connectées du Client, comme les numéros de commande, le statut des commandes et l’historique des commandes.

• Informations renvoyées par les outils personnalisés ou les skills que le Client configure, qui peuvent inclure des données de commandes et de clients.

• Données techniques, comme l’adresse IP, la localisation approximative et les informations sur le navigateur et l’appareil, y compris les signaux utilisés pour la détection des bots lorsque le Client active la protection contre les bots.

• Pour les utilisateurs du Client : nom, adresse email, rôle et activité du compte.

Catégories particulières de données. Zipchat ne demande jamais aux Utilisateurs finaux de catégories particulières de données à caractère personnel. Un Utilisateur final peut toutefois communiquer de lui-même de telles données, par exemple une grossesse ou une allergie lorsqu’il pose une question sur un produit, parce qu’une réponse sûre et pertinente en dépend. Par choix délibéré, Zipchat ne masque pas ces données automatiquement : les retirer avant que le modèle d’IA ne les voie rendrait la réponse moins bonne, voire dangereuse. Elles sont traitées uniquement pour répondre à cet Utilisateur final, transmises uniquement aux sous-traitants ultérieurs d’IA figurant sur la Liste des sous-traitants ultérieurs, tous situés aux États-Unis, chiffrées en transit et au repos, jamais utilisées pour entraîner des modèles d’IA, et filtrées des journaux applicatifs de Zipchat. Le Client peut supprimer la conversation à tout moment. Le Client ne doit pas utiliser les Services pour collecter délibérément des catégories particulières de données, ni les données exclues par l’article 5.2 du Contrat.

Fréquence. Continue, tant que le Client utilise les Services.

Appendice B : Parties, description du transfert et sous-traitants ultérieurs

Le présent Appendice contient les informations exigées par les annexes I et III des CCT de l’UE ainsi que par le tableau 1 et les annexes 1A et 1B de l’Addendum britannique, lorsqu’ils s’appliquent en vertu de l’article 9.

1. Les Parties

Exportateur de données : le Client, tel qu’identifié dans son compte Zipchat. Coordonnées : celles figurant dans le compte du Client. Activités en rapport avec le transfert : utilisation des Services en vertu du Contrat. Rôle : Responsable du traitement ou Sous-traitant, conformément à l’article 2. Signature et date : en acceptant le Contrat, le Client est réputé avoir signé, à la date de l’acceptation.

Importateur de données : Zipchat Inc., 407 E Ayre St #1207, Wilmington, Delaware DE 19804, États-Unis. Contact : support@zipchat.ai. Activités en rapport avec le transfert : fourniture des Services en vertu du Contrat. Rôle : Sous-traitant (ou sous-traitant ultérieur), et Responsable du traitement pour les Données de compte Zipchat et les Données d’utilisation Zipchat conformément à l’article 13. Signature et date : en fournissant les Services en vertu du Contrat, Zipchat est réputée avoir signé, à la date à laquelle le Client a accepté le Contrat.

2. Description du transfert

3. Autorité de contrôle compétente

L’autorité de contrôle de l’exportateur de données, déterminée conformément à la clause 13 des CCT de l’UE. Lorsque l’exportateur de données n’est pas établi dans l’EEE et a désigné un représentant, l’autorité de contrôle de l’État membre dans lequel ce représentant est établi. Pour l’Addendum britannique, l’Information Commissioner du Royaume-Uni. Pour les transferts soumis à la FADP, le Préposé fédéral à la protection des données et à la transparence.

4. Sous-traitants ultérieurs autorisés

La liste en vigueur est la Liste des sous-traitants ultérieurs publiée à l’adresse https://www.zipchat.ai/legal/subprocessors, qui prévaut et peut être mise à jour conformément à l’article 6. À la date de la présente version (12 novembre 2026), elle comprend les sous-traitants ultérieurs suivants. Tous traitent les données aux États-Unis.

Utilisés pour tous les clients

Utilisés lorsqu’une fonctionnalité s’applique

Appendice C : Mesures techniques et organisationnelles

Le présent Appendice contient les informations exigées par l’annexe II des CCT de l’UE et l’annexe II de l’Addendum britannique, lorsqu’ils s’appliquent en vertu de l’article 9. Zipchat met en œuvre les mesures suivantes pour protéger les Données personnelles contre l’accès, la communication, l’altération et la perte non autorisés.

• Chiffrement. Toutes les données sont chiffrées au repos, y compris le stockage des bases de données, le stockage des fichiers et les sauvegardes. Tout le trafic est chiffré en transit : chaque connexion passe en HTTPS par Cloudflare, et les connexions aux bases de données sont chiffrées. Certains identifiants d’intégration sensibles, comme les jetons d’accès, les mots de passe de bases de données et les secrets des skills personnalisés, font en outre l’objet d’un chiffrement au repos au niveau applicatif, et les valeurs des secrets des skills personnalisés sont accessibles en écriture seule via l’API.

• Contrôle des accès. L’application client exige une authentification. Des autorisations fondées sur les rôles distinguent les propriétaires, les éditeurs, les membres et les administrateurs, et restreignent l’accès aux fonctions sensibles. Les outils internes sont réservés aux administrateurs habilités. Les mots de passe ne sont stockés que sous forme de hachages salés.

• Séparation des données clients. Les Données personnelles sont logiquement rattachées à l’espace de travail et à l’agent IA du client. L’accès à l’application est limité aux agents auxquels un utilisateur a accès, et les recherches dans la base de connaissances utilisent des espaces de noms propres à chaque agent, afin d’empêcher tout accès d’un compte client à un autre.

• Intégrations sécurisées. Les intégrations avec des services externes utilisent HTTPS et des requêtes API authentifiées. Les webhooks Shopify sont vérifiés par signature, et les identifiants d’API du backend sont contrôlés par une comparaison à temps constant.

• Journalisation et surveillance. Les erreurs et l’activité des systèmes sont surveillées en continu, avec remontée des erreurs et surveillance des performances applicatives. Les secrets et le contenu des messages sont filtrés des journaux, et les pages d’erreur détaillées sont désactivées en production.

• Sauvegardes et résilience. Zipchat effectue régulièrement des sauvegardes des bases de données. Les traitements en arrière-plan relancent les opérations en échec lorsque l’erreur est récupérable, les procédures de déploiement sont conçues pour limiter les interruptions de service, et un mécanisme d’accès en lecture seule, imposé au niveau de la base de données, est disponible pour les investigations opérationnelles.

• Développement et gestion des changements. Chaque modification du code est conservée dans un système de gestion de versions et fait l’objet d’une relecture et de tests automatisés avant d’être déployée, avec une vérification en environnement de préproduction avant la mise en production.

• Gestion des vulnérabilités. Zipchat réalise régulièrement des tests d’intrusion et applique un processus continu de gestion des vulnérabilités pour son application et ses dépendances.

• Cycle de vie des données. Les clients peuvent supprimer à tout moment les conversations, les agents et les données indexées de la base de connaissances, et peuvent demander au support d’activer la suppression automatique des conversations au terme d’une durée choisie. Zipchat supprime les Données personnelles dans un délai de 90 jours à compter de la résiliation, sous réserve des cycles de sauvegarde (article 12).

• Limitation des finalités. Les Données personnelles sont traitées uniquement sur les instructions du Client, pour fournir les Services. Elles ne sont pas utilisées à des fins publicitaires et ne sont pas utilisées pour entraîner ou affiner un quelconque modèle d’IA sans l’autorisation du Client (article 4.2).

• Sous-traitants ultérieurs. Zipchat fait appel à des sous-traitants ultérieurs dans le cadre d’accords écrits comportant des obligations de protection des données au moins aussi protectrices que le présent DPA, et à des sous-traitants ultérieurs d’IA dans des conditions qui interdisent tout entraînement sur les Données personnelles (article 6).

Appendice D : Addendum britannique

International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (addendum relatif aux transferts internationaux de données, annexé aux clauses contractuelles types de la Commission européenne). Le présent Appendice s’applique uniquement lorsque les CCT britanniques s’appliquent en vertu des articles 9.3 et 9.4.

Partie 1 : Tableaux

Tableau 1 : Parties

Tableau 2 : CCT, modules et clauses retenus. La version des CCT de l’UE approuvées à laquelle le présent Addendum britannique est annexé, telle qu’intégrée au DPA et complétée par l’article 9.3.

Tableau 3 : Informations relatives à l’appendice des CCT. Annexe 1A (liste des parties) : Appendice B. Annexe 1B (description du transfert) : Appendices A et B. Annexe II (mesures techniques et organisationnelles) : Appendice C. Annexe III (liste des sous-traitants ultérieurs, modules 2 et 3) : la Liste des sous-traitants ultérieurs.

Tableau 4 : Fin du présent Addendum britannique en cas de modification de l’Addendum britannique approuvé. L’Importateur comme l’Exportateur peuvent mettre fin au présent Addendum britannique dans les conditions prévues à l’article 19 de l’Addendum britannique.

Partie 2 : Clauses obligatoires

Les clauses obligatoires (Mandatory Clauses) de l’Addendum britannique approuvé, telles qu’émises par l’Information Commissioner du Royaume-Uni et modifiées le cas échéant, sont intégrées par référence.